CSRF （跨站点请求伪造）问题的示例分析

发布时间：2021-09-10 10:54:23 作者：柒染
来源：亿速云阅读：156

# CSRF（跨站点请求伪造）问题的示例分析

## 1. 什么是CSRF攻击？

CSRF（Cross-Site Request Forgery，跨站点请求伪造）是一种利用用户已登录状态，在用户不知情的情况下执行非预期操作的攻击方式。攻击者诱导用户访问恶意页面，该页面携带伪造请求访问目标网站，由于浏览器会自动携带用户的Cookie等身份凭证，目标网站会误认为是用户自愿发起的操作。

### 关键特征：
- **依赖用户身份验证**：受害者需已登录目标网站
- **隐蔽性强**：请求由用户浏览器自动发出
- **操作非自愿**：用户对具体请求无感知

## 2. CSRF攻击原理示例

### 典型场景：
假设银行网站存在转账接口：

POST /transfer HTTP/1.1 Host: bank.example.com Cookie: sessionid=用户登录凭证 Content-Type: application/x-www-form-urlencoded

amount=1000&to=攻击者账户


### 攻击流程：
1. 用户登录银行网站，获得有效会话Cookie
2. 用户访问攻击者构造的恶意页面：
```html
<!-- 伪装成普通网页 -->
<body onload="document.forms[0].submit()">
  <form action="https://bank.example.com/transfer" method="POST">
    <input type="hidden" name="amount" value="1000">
    <input type="hidden" name="to" value="攻击者账户">
  </form>
</body>

浏览器自动提交表单，携带用户的合法Cookie
银行服务器处理请求，完成转账

3. 实际漏洞案例分析

案例1：未验证Referer的电商支付

某电商平台的支付接口：

@app.route('/checkout', methods=['POST'])
def checkout():
    if 'user' not in session:
        return redirect('/login')
    # 直接处理支付请求
    process_payment(request.form['amount'], request.form['recipient'])

攻击者构造：

<iframe style="display:none" name="csrf-frame"></iframe>
<form method="POST" action="https://mall.com/checkout" target="csrf-frame">
  <input type="hidden" name="amount" value="999">
  <input type="hidden" name="recipient" value="attacker@example.com">
</form>
<script>document.forms[0].submit()</script>

案例2：GET请求的敏感操作

某社交网站删除接口使用GET请求：

GET /delete_post?id=123 HTTP/1.1
Host: social.com

攻击者只需诱导用户访问：

<img src="https://social.com/delete_post?id=用户最新帖子ID" width="0" height="0">

4. 防御方案对比

4.1 主流防御技术

防御方法	实现方式	优点	缺点
CSRF Token	服务端生成随机Token嵌入表单	安全性高	需维护Token状态
SameSite Cookie	设置Cookie的SameSite属性	浏览器原生支持	兼容性问题（旧浏览器）
验证Referer	检查请求来源域名	实现简单	可能被绕过或伪造
二次验证	敏感操作需重新验证密码/短信	安全性极高	用户体验下降

4.2 最佳实践示例（Django实现）

# settings.py
MIDDLEWARE = [
    'django.middleware.csrf.CsrfViewMiddleware'
]

# 模板中自动添加Token
<form method="post">
  {% csrf_token %}
  <input type="text" name="amount">
</form>

# 视图验证
from django.views.decorators.csrf import csrf_protect

@csrf_protect
def transfer(request):
    if request.method == 'POST':
        # 安全处理逻辑

5. 高级攻击场景

5.1 绕过SameSite限制

当网站存在开放重定向漏洞时：

https://victim.com/redirect?url=https://attacker.com

攻击者可构造跨站请求，利用重定向携带Cookie

5.2 结合XSS的CSRF

如果网站存在XSS漏洞：

fetch('/transfer', {
  method: 'POST',
  body: 'amount=1000&to=attacker',
  credentials: 'include' // 携带Cookie
});

此时SameSite Cookie等防御将失效

6. 检测与预防建议

检测方法：

使用Burp Suite等工具扫描未受保护的表单
检查敏感操作是否：
- 缺少随机Token
- 使用GET方法
- 未验证Referer
自动化测试脚本模拟攻击

开发建议：

关键原则：
- 遵循”不信任用户输入”原则
- 敏感操作使用POST/PUT/DELETE方法

防御组合：


graph TD
A[CSRF防御] --> B[Token验证]
A --> C[SameSite=Lax/Strict]
A --> D[关键操作二次验证]

7. 总结

CSRF作为OWASP Top 10长期存在的威胁，其危害性主要体现在： - 平均修复成本低（约\(5,000） - 但可能造成巨额经济损失（案例：某交易所CSRF导致\)50,000损失）

现代前端框架（如React、Vue）虽然提供部分防护，但后端验证仍是根本解决方案。开发者应当建立纵深防御体系，而非依赖单一防护措施。 “`

（注：本文约1350字，实际字数可能因渲染环境略有差异）